Netdata v2.10.4 安全更新：修复缓冲区溢出、TOCTOU及API访问控制缺陷

Netdata v2.10.4 安全更新总结 漏洞概述 本次更新（v2.10.4）是一个补丁版本，主要修复了自 v2.10.3 以来发现的多个安全漏洞和稳定性问题。重点涉及数据库引擎、流处理、云连接及收集器方面的内存安全、竞态条件及逻辑缺陷。 影响范围 核心组件：数据库引擎、流复制、云连接（ACLK）、告警系统、机器学习模块。 插件与收集器： 、 、 、 、 驱动相关组件。 API 接口： 端点。 操作系统：macOS（硬件传感器收集器）、Windows（安装程序）、Linux（通用）。 修复方案（关键安全修复） 1. 数据库引擎与元数据 硬编码 OBEIGNE：针对损坏或截断的数据文件，增加了扩展大小和未压缩页边界验证、SIGBUS 保护及头部偏移量检查。 死锁诊断：改进了 死锁诊断中的 journal 文件访问错误处理。 竞态条件修复：修复了 和 中的页缓存竞态，以及维度创建死锁和虚拟节点接管崩溃。 SQL 注入/崩溃防护：验证了从 SQL 加载的数据以防止损坏数据库导致的崩溃，改进了 UUID 处理和 SQL 函数中的错误报告。 空指针防护：修复了图表查找中的空根索引问题，避免空引用崩溃。 2. 流与复制 内存分配：修复了复制查询中的未对齐内存分配问题。 计数器泄漏：修复了孤立图表上的发送方复制计数器泄漏。 帧处理：跟踪了过度大小的 ZSTD 帧，并优雅地处理解压缩错误（记录日志并断开连接，而非 ）。 3. 云连接 (ACLK) CPU 自旋：防止了云连接循环中罕见的无界单核 CPU 自旋。 未初始化内存：避免了 在发布失败时未初始化的问题。 4. 告警与机器学习 死锁修复：限制了告警通知执行等待，防止卡住的脚本阻塞时钟进程。 数据损坏防护：增加了针对 ML 数据库损坏的 safeguards（安全措施），并简化了恢复过程。 5. 收集器 (Collectors) 内存保留：修复了 查询后的内存保留问题。 缓冲区溢出：修复了 中的缓冲区溢出和计数器问题（平台特定）。 整数溢出：修复了 中的整数溢出和看门狗下溢。 XML 解析：修复了 渲染崩溃（严格检查、安全 XML 解析、580 字节变长处理）。 硬件检测：修复了 驱动和 SMI 输出变长处理。 路径遍历/注入：将故障检测路径移至 的 （防止潜在的路径问题）。 竞态条件：修复了 插件中的插件扫描竞态，增加了槽位边界检查。 6. 安全与 API API 访问控制： 端点现在由 门控（替代 ），强制连接白名单并阻止匿名状态更改请求。 JSON 注入：修复了 输出格式在传递 时生成无效 JSON 的问题。 7. 核心稳定性与内存安全 TOCTOU 竞态：修复了 中的 TOCTOU 竞态。 分配器竞态：修复了 ARAL 分配器竞态和双重释放（double-free）。 内存泄漏：修复了 中的内存泄漏，并增加了空指针守卫。 并发 Bug：修复了由 Coverity 和 Sonar 审计发现的多个内存安全和并发 Bug。 Shutdown 健壮性：修复了 中的 SIGSEGV 和 ENOENT 情况下的管道清理处理。 8. 安装与打包 Windows 安装器：调整了安装器逻辑，仅在提供令牌和房间时运行 claiming，增加了宽字符处理以修复 HTTP 客户端崩溃，并修复了 Visual Studio 工具链搜索。 Netdata-updater：改进了文件获取时的错误处理，并静默了 输出。 --- 注：页面中未包含具体的 POC 代码或利用代码，仅包含修复描述和相关的 Issue/PR 链接。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Netdata v2.10.4 安全更新：修复缓冲区溢出、TOCTOU及API访问控制缺陷

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Netdata v2.10.4 安全更新：修复缓冲区溢出、TOCTOU及API访问控制缺陷

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！